Mozilla Firefox und Thunderbird: Speicherfehler in SVG-Komponente
Zusammenfassung
Fehlerhafte Grenzwertbehandlung in der SVG-Darstellungskomponente von Mozilla Firefox, Firefox ESR und Thunderbird ermöglicht eine Speicherbeschädigung. Ein Angreifer kann dies ausnutzen, indem er einen Benutzer dazu bringt, eine präparierte Webseite zu laden oder präparierte Inhalte zu öffnen; gemäss CVSS-Vektor sind die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch. Die CVSS-Daten und der Status «Deferred» im NVD wurden aus der Eingabe übernommen und nicht unabhängig geprüft.
Betroffen
- Firefox-Versionen vor 158
- Firefox-ESR-Versionen vor 153.5
- Thunderbird-Versionen vor 158 und vor 153.5
- Firefox ESR 115: Unbekannt.
Behoben in
- Firefox 158
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
- Debian: DSA 6560-1 und DLA 4836-1 (firefox-esr)
- Fedora 44: Updates für firefox und thunderbird
- AlmaLinux 9.2 (TuxCare): thunderbird 153.5.0-1.el9_2.alma.1.tuxcare.els1
Umgehung
- Keine nötig, sofern gepatcht.
- Keine dokumentierte Zwischenlösung für ungepatchte Installationen gefunden. Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Laut einem Threat-Intelligence-Aggregator nicht als aktiv ausgenutzt markiert; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- Mozilla stuft diesen Fehler als moderat ein; CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Firefox, Firefox ESR und Thunderbird auf allen Arbeitsstationen auf die gepatchten Versionen aktualisieren.
- Verwaltete Flotten prüfen, einschliesslich Firefox-ESR-Bereitstellungen und Thunderbird auf Mail-Clients, auf veraltete Versionen.
- Prüfen, ob ESR 115 betroffen ist, und bei Bedarf aktualisieren.
- Herstellerhinweise und CISA KEV auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory mfsa2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory mfsa2026-108 (Firefox ESR 153.5) www.mozilla.org
- Mozilla Bugzilla 2072438 bugzilla.mozilla.org
- Ubuntu CVE-2026-109762 ubuntu.com
- OSV CLSA-2026-1792779937 (AlmaLinux) osv.dev
- SUSE CVE entry via Vulners vulners.com
- HKCERT Mozilla security bulletin www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:11.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.